SQL Injection via in django-debug-toolbar
Impact
With Django Debug Toolbar attackers are able to execute SQL by changing the raw_sql input of the SQL explain, analyze or select forms and submitting the form.
NOTE: This is a high severity issue for anyone using the toolbar in a production environment.
Generally the Django Debug Toolbar team only maintains the latest version of django-debug-toolbar, but an exception was made because of the high severity of this issue.
Patches
Please upgrade to one of the following versions, depending on the major version you're using:
- Version 1.x: django-debug-toolbar 1.11.1
- Version 2.x: django-debug-toolbar 2.2.1
- Version 3.x: django-debug-toolbar 3.2.1
For more information
If you have any questions or comments about this advisory:
- Open an issue in the django-debug-toolbar repo (Please NO SENSITIVE INFORMATION, send an email instead!)
- Email us at security@jazzband.co
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | django-debug-toolbar | >= 0.10.0, < 1.11.1, >= 2.0a1, < 2.2.1, >= 3.0a1, < 3.2.1 | 1.11.1, 2.2.1, 3.2.1 |
Odnośniki
- https://github.com/jazzband/django-debug-toolbar/security/advisories/GHSA-pghf-347x-c2gj
- https://www.djangoproject.com/weblog/2021/apr/14/debug-toolbar-security-releases/
- https://github.com/jazzband/django-debug-toolbar/releases
- https://nvd.nist.gov/vuln/detail/CVE-2021-30459
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-30459
- https://github.com/jazzband/django-debug-toolbar
- https://github.com/pypa/advisory-database/tree/main/vulns/django-debug-toolbar/PYSEC-2021-10.yaml
- https://www.djangoproject.com/weblog/2021/apr/14/debug-toolbar-security-releases
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-89- Platforma
- Python (PyPI)
- Paczka
django-debug-toolbar- Ujawniono
- 14.04.2021
- Aktualizacja
- 11.10.2026 13:19
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2021-10 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-pghf-347x-c2gj - CC BY 4.0
Historia podatności: django-debug-toolbar
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.